常见的术语：

肉鸡：被植入木马的电脑或者是服务器等联网设备。
软件木马：远控软件的被控端（exe文件）
脚本木马：脚本语言编写的被控端（asp、php...）
拿Webshell（有人也会说是：拿shell）：拿到网站的最高权限。
服务器：提供计算机服务的设备
{
物理服务器：实体的。
虚拟服务器：常见的，远程连接的。
}
后门：一栋房子有一扇大门跟一个洞。房子=服务器（个人电脑）、大IP=正常权限、洞=后门。
IP：代表计算机的一个网络地址（例子：你在北京，这就是你的地址）
端口：设备与外界通讯交流的出门。（一栋大楼里面有几个房间，房间有几个门
大楼=IP，房间的门=端口）
入侵：利用服务器方面漏洞的技术。
提权：提升权限（拿到了Webshell-》通过Webshell提到服务器的权限，从脚本到服务器）
压力测试（Ddos、CC攻击）：利用流量资源攻击服务器。
•••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••

1签到题

查看源代码就可以找到flag

2签到2

image.png

让我们输入口令zhimakaimen11个字符，而maxlength=10，通过burpsuite中的Reapeater对页面数据进行修改发送。
maxlength 属性规定输入字段的最大长度，以字符个数计。

maxlength 属性与 <input type="text"> 或 <input type="password"> 配合使用。

image.png

这题不是WEB

打开有个猫的图片，我直接用记事本打开搜索nctf，可以直接找到

丘比龙De女神

image.png

百度MD5：
“简单地说来，就是一种安全策略，在网络上传输数据的时候，如果你是明文进行的话，那么容易受到截获，所以这样说来时很不安全的，所以引入了MD5机制，可以在传输数据的时候，将数据和密钥进行hash生成一个MD5校验值，附加在数据段的首部，那么在对方收到数据是，会将数据段重新用hash算法进行校验，若两个MD5的校验值相同，那么表示数据在传输的过程中没有收到篡改！

image.png

AAencode

先百度AAencode：
什么是jjencode?
将JS代码转换成只有符号的字符串
什么是aaencode？
将JS代码转换成常用的网络表情。
神器的JavaScript加密工具aaencode 把js转为颜文字表情符号
aaencode 加密
aaencode 解密
把页面代码放到解密里面解密就可以找到flag

图种

图种是什么？通俗来讲就是通过一些小技术将目标文件隐藏于一张图片里面，表面上看起来是一张图片，实际上里面含有其他文件。这种方式可以不受某些网站的限制，便于信息及文件的传递和共享。

QQ图片20180112151140.png

nctf{dssdcmlw}

层层递进

【304 Not Modified：客户端有缓冲的文件并发出了一个条件性的请求（一般是提供If-Modified-Since头表示客户只想比指定日期更新的文档）。服务器告诉客户，原来缓冲的文档还可以继续使用。
一般的大的站点的图片服务器都有实现HTTP 304 缓存功能。
这个 304 状态一般主要在用户刷新页面(F5键)的时候触发，当用户在刷新页面的时候，因为原来的页面里的很多图片已经缓存过，客户端的浏览器已经记录了图片的最后更新时间(Last Mod)，所以在用户刷新页面的时候，会向服务器提交一个字段：If-Modified-Since: Wed, 08 Sep 2010 21:35:06 GMT
这个时候，服务器端的程序先取得这个字段的值，然后与服务器上的图片最后修改时间对比，如果相同，就直接返回 304 Not Modified ，然后停止。这样就不用把图片重新传输到客户端，达到节省带宽的目的。】
打开题目中的网址发现是一个网站的主页，没有其他的提示信息。

image.png

你从哪里来

HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。
比如从我主页上链接到一个朋友那里，他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我主页上的链接访问他的网站。

单身一百年也没用

image.png

找不到异常，

image.png

easy！

image.png

直接base64解码

BASE64是一种编码方式，通常用于把二进制数据编码为可写的字符形式的数据。
这是一种可逆的编码方式。
编码后的数据是一个字符串，其中包含的字符为：A-Z、a-z、0-9、+、/
共64个字符：26 + 26 + 10 + 1 + 1 = 64。
【注：其实是65个字符，“=”是填充字符】。

Keybord

题目的意思就是键盘，题目也提示看键盘看键盘，那肯定跟键盘有关系。
直接按照题目给出的字母在键盘上画出来图案就会发现对应的字母。
nctf{areuhack}

n次base64

image.png

COOKIE

打开提示的网站后显示please login first!
这个时候智能抓包，用Burpsuite抓包发现Cookie：login=0

image.png

文件包含

文件包含漏洞的利用
考察PHP封装协议以及PHP文件包含。
在url中添加?file=php://filter/read=convert.base64-encode/resource=index.php，读取到base64加密的index.php文件
注解：
1.php://filter/可用于处理打开的数据流，起到过滤作用。如果源文件为.php则很有可能在前台显示不出来。
2.此时我们采用的方法是，先让文件转化为base64格式（convert.base64-encode）然后再输出，这样不论是什么格式的文件都可以在前台输出。

Download~!

图片.png

发现下载地址是base64编码，需要解码解码后发现是两首歌的名字
分析两首歌的文件也没有发现什么
再看看题目和tips

图片.png

图片.png

图片.png

在if条件里面看到4个或者有3个都已经找到了，就差hereiskey.php。就需要对hereiskey.php进行base64编码然后放到url里面就能找到flag。

MYSQL

Do you know robots.txt？在网址后面加上robots.txt

图片.png

图片.png

sql injection 3

即SQL注入
宽字节注入，双字节绕过
MYSQl宽字节注入

/x00

图片.png

空字符串('')，false,NULL和0是值相等而类型不一样！

第一种方法：ereg处理数组，所以这里nctf这里要用nctf[],构造一个arr[]，传入之后，ereg是返回NULL的，===判断NULL和FALSE，是不相等的，所以可以进入第二个判断，strpos处理数组时，也是返回NULL，注意这里的是!==，NULL!==FALSE,条件成立，拿到flag
我们还是先说数组 ereg是处理字符串的，所以，按照原理，我们将nctf构造一个arr[]，传入之后，ereg是返回NULL的，===判断NULL和FALSE，是不相等的，所以可以进入第二个判断，而strpos处理数组，直接返回NULL，注意这里的是!==，NULL!==FALSE,条件成立，拿到flag。
第二种：ereg的字符串截断漏洞。遇到%00则默认为字符串的结束。
传nctf=1%00%23biubiubiu 接收到1后被截断，后面也有所需要的#biubiubiu,条件成立，拿到flag!
html url编码
为什么要进行URL编码
URL中编码URL特殊字符

bypass again

图片.png

第一种方法:提交两个加密后0e开头的字符串

如果我们定义的相等是== 而不是===，试下 字符串 240610708跟QNKCDZO
所有类似的字符串得到的md5如果是0e打头的，一些语言（PHP）会做隐式转换，当做int类型计算，得到的结果是 0，最后导致0==0，判定为true

第二种方法：md5不能处理数组结构的数据。出错返回null，NULL==NULL。index.php?a[]=1&b[]=2

变量覆盖

变量覆盖漏洞
CTF之php变量覆盖漏洞

图片.png

图片.png

图片.png

PHP是世界上最好的语言

图片.png

PHP eregi函数
如果传进去的id含有hackerDJ就exit()，并且之后会对idURL解码一次再判断与hackerDJ是否相等，如果相等就给出flag。
Url编码，传输过去默认会解码一次，所以我们不能只加密一次，需要加密两次

图片.png

图片.png

伪装者

WEB安全-伪造X-Forwarded-For绕过服务器IP地址过滤
$_SERVER[“HTTP_X_FORWARDED_FOR”] 获得的值是HTTP中 X-Forwarded-For
$_SERVER[“HTTP_CLIENT_IP”] 获得的值是HTTP中 Client-Ip( client-ip书写测试结果：服务器为window环境，则client-ip可以大小写混写。服务器环境为linux，则client-ip必须全部大写)
$_SERVER[“REMOTE_ADDR”] 获得的值为 最后一个跟你的服务器握手的IP，可能会是代理IP或者其他
$_SERVER[“HTTP_REFERER”] 获得的值为 HTTP中的Referer

Headers

关于HTTP协议，一篇就够了

图片.png

上传绕过

要求上传JPG PNG GIF后缀的文件，上传了PNG图片又要求PHP后缀文件

image.png

image.png

image.png

发现basename等于路径后面的123.php加上了文件名，说明是通过basename判断文件类型的。所以让basename的后缀等于php就可以了。

image.png

image.png

image.png

pass check

PHP strcmp函数
strcmp($pass,$pass1)
strcmp(array,string)=null=0
当不同类型的变量进行比较的时候就会存在变量转换的问题，在转换之后就有可能会存在问题。

图片.png

图片.png

HTML meta 中的Content-Type定义的数据类型和编码主要用于网页内容处理时，比如浏览器解析网页内容，或者搜索引擎的爬虫。

Form表单中的enctype 属性规定在发送到服务器之前应该如何对表单数据进行编码。
默认地，表单数据会编码为 "application/x-www-form-urlencoded"。就是说，在发送到服务器之前，所有字符都会进行编码（空格转换为 "+" 加号，特殊符号转换为 ASCII HEX 值）。

起名字真难

图片.png

图片.png

密码重置

图片.png

图片.png

PHP反序列化

<?php
class just4fun {
    var $enter;
    var $secret;
}

if (isset($_GET['pass'])) {
    $pass = $_GET['pass'];

    if(get_magic_quotes_gpc()){
        $pass=stripslashes($pass);
    }

    $o = unserialize($pass);

    if ($o) {
        $o->secret = "*";
        if ($o->secret === $o->enter)
            echo "Congratulation! Here is my secret: ".$o->secret;
        else 
            echo "Oh no... You can't fool me";
    }
    else echo "are you trolling?";
}
?>

关于get_magic_quotes_gpc()函数
PHP stripslashes() 函数
PHP之：序列化和反序列化-serialize()和unserialize()
PHP引用(&)使用详解
PHP 的引用允许你用两个变量来指向同一个内容
$a->enter=&$a->secret;

<?php   
class just4fun {  
    var $enter;  
    var $secret;  
    function just4fun()  
    {  
        $a->enter=&$a->secret;
    }  
}  
echo serialize(new just4fun());  
?>

图片.png

?pass=O:8:"just4fun":2:{s:5:"enter";N;s:6:"secret";N;}

综合题

把javascrip转换为jsfuck代码，其中只包含六个不同的字符：!()+[]
转换网址：http://jscrew.it/
把网页中的jsfuck代码转换之后是1bc29b36f623ba82aaf6724fd3b16718.php

图片.png

图片.png

图片.png

图片.png

密码重置2

查看页面源代码可以找到邮箱：admin@nuptzj.cn
根据提示：linux下一般使用vi编辑器，并且异常退出会留下备份文件。
可能会存在备份文件，一般情况下备份文件一般都是myfile.txt~或者是.myfile.txt.swp，经过测试发现存在.submit.php.swp文件。
内容：

........这一行是省略的代码........

/*
如果登录邮箱地址不是管理员则 die()
数据库结构

--
-- 表的结构 `user`
--

CREATE TABLE IF NOT EXISTS `user` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(255) NOT NULL,
  `email` varchar(255) NOT NULL,
  `token` int(255) NOT NULL DEFAULT '0',
  PRIMARY KEY (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=utf8 AUTO_INCREMENT=2 ;

--
-- 转存表中的数据 `user`
--

INSERT INTO `user` (`id`, `username`, `email`, `token`) VALUES
(1, '****不可见***', '***不可见***', 0);
*/


........这一行是省略的代码........

if(!empty($token)&&!empty($emailAddress)){
    if(strlen($token)!=10) die('fail');
    if($token!='0') die('fail');
    $sql = "SELECT count(*) as num from `user` where token='$token' AND email='$emailAddress'";
    $r = mysql_query($sql) or die('db error');
    $r = mysql_fetch_assoc($r);
    $r = $r['num'];
    if($r>0){
        echo $flag;
    }else{
        echo "失败了呀";
    }
}
    

根据条件 只要token长度等于10，并且等于0就会给出flag。
让token=0000000000和邮箱一起提交

PHP代码执行函数总结
php 弱类型总结
PHP弱类型的安全问题详细总结